December 30, 2025
台湾卫福部公告限制西药批发、零售业将个人资料国际传输至陆港澳
依个人资料保护法（下称「个资法」）第21条第3款规定，非公务机关为国际传输个人资料，如接受国对于个人资料之保护未有完善之法规，致有损当事人权益之虞者，主管机关得加以限制。基于此授权，台湾卫生福利部（下称「卫福部」）于114年9月30日针对西药批发与零售业发布个人资料跨境传输限制公告（参卫福部卫授食字第1149037011号函，下称「本公告」），自本公告实施日起，西药批发与零售业者原则上不得将个人资料传输至大陆地区、香港及澳门。
前述个人资料国际传输之情形包含：民众进线业者位于陆港澳之分公司或外包公司并留下个人资料、业者将所持个资传输至陆港澳之分公司或外包公司、或将数据上传至设于陆港澳的服务器等 [1] 。
本公告并非全面禁止跨境传输个资至陆港澳，下列情形不在限制范围内（参本公告第1点）：
1. 当事人个人资料无法以直接或间接方式识别；
2. 当事人个人资料非因从事药品有关业务所取得；
3. 当事人为西药批发零售业者之员工，或西药批发零售业者于执行业务过程中，取得聘雇服务商、合作厂商、内部业务往来之个人资料；
4. 西药批发零售业者之总公司或母公司，列于欧盟「一般数据保护规则」（General Data Protection Regulation, GDPR）之适足性认定（Adequacy decision）下资料隐私框架（Data Privacy Framework）清单，或已符合欧盟「一般数据保护规则」（General Data Protection Regulation, GDPR）之拘束性企业规则（Binding corporate rules）、签署经欧盟核准之制式个资保护条款（Standard data protection clauses）、行为守则（Codes of conduct）或取得特定认证（Certification）；
5. 进行药品临床试验所需，且受试者说明暨同意书已载明相关事项，并透过契约或其他方式责成接收方遵循我国个资法相关规范；
6. 涉及药品安全通报或药品安全监视，且已于药品安全性监视计划内容附录增列西药批发零售业个人资料档案安全维护计划实施办法第4条安全维护计划所定事项，并透过契约或其他方式责成接收方遵循我国个资法相关规范；
7. 依大陆地区、香港或澳门卫生主管机关依法要求而进行之个人资料陈报；
8. 已透过契约载明标准合约条款，确保接收方遵循我国个资法相关规范；
9. 基于当事人之书面委托；
10. 已取得当事人之书面同意。
本公告采分阶段实施，对于西药批发零售业个人资料档案安全维护计划实施办法第3条所称之西药批发零售业者，即依药事法第27条第1项规定核准登记，且资本额新台币3,000万元以上，并有招募会员或可取得交易对象个人资料之西药批发零售业者，自115年10月1日实施；除此以外，对于药事法第15条第1款所称之经营西药批发、零售业者，自116年10月1日实施（参本公告第2点）。
本公告虽非即刻生效，尚有一定缓冲期间，惟为避免未来营运受阻，建议相关业者可逐步检视现行个人资料之搜集、利用及跨境传输情形，并同步盘点涉及陆港澳之委外安排、信息系统及契约内容，确认是否符合本公告及我国个资法之规范。若能尽早进行整体法律评估与必要之调整，将有助于后续合规作业之顺利衔接，并降低潜在营运风险。
[1] 參衛福部食藥署國際傳輸問答集，https://www.fda.gov.tw/tc/newsContent.aspx?cid=3&id=31222，最後瀏覽日：2025/12/22。
前述个人资料国际传输之情形包含：民众进线业者位于陆港澳之分公司或外包公司并留下个人资料、业者将所持个资传输至陆港澳之分公司或外包公司、或将数据上传至设于陆港澳的服务器等 [1] 。
本公告并非全面禁止跨境传输个资至陆港澳，下列情形不在限制范围内（参本公告第1点）：
1. 当事人个人资料无法以直接或间接方式识别；
2. 当事人个人资料非因从事药品有关业务所取得；
3. 当事人为西药批发零售业者之员工，或西药批发零售业者于执行业务过程中，取得聘雇服务商、合作厂商、内部业务往来之个人资料；
4. 西药批发零售业者之总公司或母公司，列于欧盟「一般数据保护规则」（General Data Protection Regulation, GDPR）之适足性认定（Adequacy decision）下资料隐私框架（Data Privacy Framework）清单，或已符合欧盟「一般数据保护规则」（General Data Protection Regulation, GDPR）之拘束性企业规则（Binding corporate rules）、签署经欧盟核准之制式个资保护条款（Standard data protection clauses）、行为守则（Codes of conduct）或取得特定认证（Certification）；
5. 进行药品临床试验所需，且受试者说明暨同意书已载明相关事项，并透过契约或其他方式责成接收方遵循我国个资法相关规范；
6. 涉及药品安全通报或药品安全监视，且已于药品安全性监视计划内容附录增列西药批发零售业个人资料档案安全维护计划实施办法第4条安全维护计划所定事项，并透过契约或其他方式责成接收方遵循我国个资法相关规范；
7. 依大陆地区、香港或澳门卫生主管机关依法要求而进行之个人资料陈报；
8. 已透过契约载明标准合约条款，确保接收方遵循我国个资法相关规范；
9. 基于当事人之书面委托；
10. 已取得当事人之书面同意。
本公告采分阶段实施，对于西药批发零售业个人资料档案安全维护计划实施办法第3条所称之西药批发零售业者，即依药事法第27条第1项规定核准登记，且资本额新台币3,000万元以上，并有招募会员或可取得交易对象个人资料之西药批发零售业者，自115年10月1日实施；除此以外，对于药事法第15条第1款所称之经营西药批发、零售业者，自116年10月1日实施（参本公告第2点）。
本公告虽非即刻生效，尚有一定缓冲期间，惟为避免未来营运受阻，建议相关业者可逐步检视现行个人资料之搜集、利用及跨境传输情形，并同步盘点涉及陆港澳之委外安排、信息系统及契约内容，确认是否符合本公告及我国个资法之规范。若能尽早进行整体法律评估与必要之调整，将有助于后续合规作业之顺利衔接，并降低潜在营运风险。
[1] 參衛福部食藥署國際傳輸問答集，https://www.fda.gov.tw/tc/newsContent.aspx?cid=3&id=31222，最後瀏覽日：2025/12/22。
